CVE-2026-27795 in langchainjs
Zusammenfassung
von VulDB • 22.05.2026
LangChain ist ein Framework zum Erstellen von LLM-gestützten Anwendungen. Vor Version 1.1.8 besteht in `RecursiveUrlLoader` in `@langchain/community` eine umgehbare Server-Side Request Forgery (SSRF)-Schwachstelle, die auf Umleitungen basiert. Der Loader validiert die initiale URL, lässt den zugrunde liegenden Fetch-Vorgang jedoch automatisch Umleitungen folgen, was einen Übergang von einer sicheren öffentlichen URL zu einem internen oder Metadaten-Endpunkt ohne erneute Validierung ermöglicht. Dies stellt eine Umgehung der in 1.1.14 eingeführten SSRF-Schutzmaßnahmen dar (CVE-2026-26019). Benutzer sollten auf `@langchain/community` 1.1.18 aktualisieren, das jeden Umleitungsschritt validiert, indem automatische Umleitungen deaktiviert und `Location`-Ziele vor dem Folgen erneut validiert werden. In dieser Version sind automatische Umleitungen deaktiviert (`redirect: "manual"`), jede 3xx `Location` wird aufgelöst und mit `validateSafeUrl()` validiert, bevor die nächste Anfrage gesendet wird, und ein maximaler Umleitungslimit verhindert Endlosschleifen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.